أدوات الأمان مفتوحة المصدر
Snort: محرك التوقيع مفتوح المصدر الذي أطلق على الفئة
Snort هو نظام كشف التطفل مفتوح المصدر الذي حدد الفئة منذ عقدين من الزمن: قواعد التوقيع التي تم فك تشفيرها ضد حركة المرور، والتنبيه بشأن أنماط الاستغلال المعروفة، والحظر المضمّن بشكل اختياري. قام Snort 3 بتحديث المحرك (تعدد مؤشرات الترابط، وقواعد Lua القابلة للتكوين)، ويظل النظام البيئي للقواعد أحد أكبر الأنظمة في مجال الدفاع عن الشبكة. هذه هي المقالة المخصصة وراء مقارنة Snort-vs-Suricata.
النقاط الرئيسية
- لا تزال لغة القاعدة هي اللغة المشتركة: تحدد القاعدة البروتوكول ونمط حركة المرور (المنافذ) وخيارات الكشف (مطابقات المحتوى، PCRE، اتجاه التدفق)، المحددة بواسطة sid/rev؛ تمت كتابة آلاف المعرفة الخاصة بالفرق بهذه الصيغة، ويقرأ Suricata معظمها محليًا، مما يبقي المهارات قابلة للنقل.
- تشكل مصادر القواعد واقعًا من ثلاثة مستويات: مجموعة قواعد المجتمع مجانية مع فترة تأخير مدتها 30 يومًا، والمجموعة المسجلة مع فترة تأخير أقصر بعد الاشتراك، ومجموعة المشترك مع أحدث المعلومات؛ إن جدار الحماية بالإضافة إلى عدم وجود قواعد هو عبارة عن زخرفة، لذا فإن اختيار المصدر هو أول قرار تشغيلي.
- سد Snort 3 فجوة التحديث: معالجة الحزم متعددة الخيوط، وتكوين القواعد المستندة إلى LuaJIT، والمكونات الداخلية المطابقة لفئة Hyperscan، على حساب نموذج التكوين الذي يختلف منحنى التعلم الخاص به عن Snort 2؛ يجب أن تبدأ عمليات النشر الجديدة في عام 2026 مباشرة مع Snort 3.
- هناك وضعان للنشر مهمان: IDS (مراقبة سلبية على منفذ مرآة/منفذ، تنبيهات فقط) وIPS (مضمّن، حظر)؛ يحتاج IPS إلى اقتران HA وقرارات الفتح/الإغلاق الفاشل، لذا تقوم معظم العقارات بتشغيل IDS أولاً والترويج بعناية.
- إن عمل الضبط هو الانضباط الحقيقي: تحديد حركة المرور الخاصة بك، وقمع الإيجابيات الخاطئة لكل قاعدة/معرف (وليس عن طريق تعطيل القاعدة)، وضبط الحدود على جداول زمنية صاخبة؛ إما أن يؤدي Snort غير المضبوط إلى إغراق قنوات التنبيه أو يتم تعطيله بهدوء من قبل الموظفين، وكلاهما أسوأ من مجموعة قواعد أصغر تم ضبطها جيدًا.
- حيث يقع Snort في مواجهة بقية فئة أدوات الأمان لدينا: فهو الكشف عن التوقيع أولاً (يغطي Suricata نفس الأرض بأجزاء داخلية مختلفة، ويوفر NSM من فئة Zeek تسجيلًا أكثر ثراءً، وتغطي ماسحات الثغرات الأمنية مثل مقالة OpenVAS أسئلة مختلفة)، والوضع الصحيح هو IDS كطبقة واحدة، وليس كقصة محيطية كاملة.
ملاحظة ميدانية
تم تعطيل مستشعر الشخير الذي ورثناه بهدوء قبل عامين لأنه لم يقم أحد بضبطه؛ كانت قناة التنبيه عبارة عن رقم لم يقرأه أحد. لقد قمنا بإعادة بنائه باستخدام خط الأساس وعمليات القمع لكل عقار، وكان المصيد الحقيقي الأول خلال شهر هو استدعاء آلة مخترقة. تم تثبيت الإيقاعات المضبوطة.
أسئلة شائعة
هل تريد Snort أو Suricata على الأجهزة الجديدة؟
كلا المحركين سليمان؛ يتناسب قوس Suricata ذو التصميم المتعدد ومخرجات JSON مع خطوط أنابيب SOC الحديثة، بينما يتطابق Snort 3 بشكل وثيق ويقدم مسار قواعد Talos المتكامل. مقارنتنا المخصصة هي التي تتخذ القرار، ولكن لاحظ أن المعرفة بالقواعد تنتقل بين الاثنين.
من أين تأتي حركة المرور؟
سلبي: منفذ نطاق التبديل، أو النقر على الشبكة، أو مرآة vSwitch لبرنامج Hypervisor، لا يتم تضمينه أولاً أبدًا؛ يتم التعبير عن الحجم بالحزم في الثانية وعدد القواعد بشكل أفضل من عرض النطاق الترددي وحده، نظرًا لأن كل قاعدة تقوم بتقييم كل حزمة.
هل أحتاج إلى الدفع مقابل القواعد؟
مجموعة المجتمع مجانية مع وجود تأخير، والتي تغطي بالفعل تهديدات السلع؛ المسجل (تحديثات مجانية وأسرع) هو الحد الأدنى لأي محيط إنتاج، ومصدر الاشتراك مهم بشكل أساسي للعقارات ذات الأهداف العالية التي تحتاج إلى تغطية في نفس اليوم.
كيف يمكنني إيقاف فيضان التنبيه؟
الخط الأساسي أولاً، ثم قم بمنع كل معرف على حركة المرور المؤكدة وقواعد التقاعد التي لا تتطابق مع أي شيء في بيئتك؛ قم بضبطه أسبوعيًا خلال الربع الأول، ثم شهريًا، وتصبح جودة التنبيه قابلة للاستخدام بدلاً من تجاهلها.
كيف تساعدك Kinetikatech في أدوات الأمان مفتوحة المصدر
لقد حللنا هذا مئات المرات: يستمر محترفو مجموعة أدوات الاختبار في التحميل: حيث أوضحت الماسحات الضوئية والمتشممون والمفرقعات ووكلاء الويب طريقة استخدامها في الارتباطات الحقيقية - الأوامر والأعلام والمخرجات ومكان كل منها في المنهجية. مع اختبارات الاختراق و أمن خوادم لينكس تحصل على الدورة الكاملة: نقيّم وننفذ ونراقب على مدار الساعة ونستجيب خلال 30 دقيقة عندما يكون الأمر مهمًا.